OAuth gudaha VPN: qaybaha weli u baahan TLS

Hagidda gaarka ah waxay go'aamisaa cidda gaadha server-ka; xeerarka qaadista OAuth waxay go'aamiyaan sida fariin kastaa u safarto. Browser, server oggolaansho, barta ugu dambeysa ee token-ka iyo server kheyraadku dhammaantood waxay noqon karaan isla VPN gadaashiis oo weli fariimo ku wadaagaan qaybo kala duwan. Qayb kastaa waxay leedahay shuruuddeeda qaadista u gaar ah, VPN-na midna kama fududayso. Xadka VPN iyo xadka borotokoolku waa laba xariiq oo kala duwan.

Go'aanku wuu fududaadaa haddii aad joojiso inaad weydiiso haddii shabakaddu la aamini karo oo aad bilowdo inaad weydiiso is-dhaafsiga kee ayaa xadka kee ka gudba.

Ku go'aanso qayb ahaan, ma aha shabakad ahaan

U qor barta ugu dambeysa si gooni ah: barta oggolaanshaha, barta token-ka, URI dib-u-celinta, URL-ka server-ka kheyraadka, barta dhammaadka TLS iyo iridda VPN. Kadib calaamadee qaybta bilaabta codsi kasta iyo halka jawaabtu tagto.

VPN ku dhammaata irid waxay sireysaa qaybta ilaa iriddaas. Codsigu wuxuu sii socon karaa isaga gadaashiis sida HTTP caadi ah, qaybtaas hadhayna ma noqon HTTPS sababtoo ah qayb hore ayaa la sireeyay. Isla sii socodkaas ayaa ah qaybta borotokoolku danaynayo. Sireynta boodhka koowaad boodhka labaad ma aamin karto.

Qaadistu waxay sidoo kale qaaddaa hubinta aqoonsiga adeegga. Browser-ku wuxuu xaqiijiyaa shahaadada URL-ka abka; VPN ma sameeyo hubintaas magaca browser-ka, mana ka dhigo barta ugu dambeysa ee aan la xaqiijin mid la aqbali karo. Shahaadadu waxay magacawdaa barta ugu dambeysa ee macmiilku u malaynayo inuu wacayo. Tunnel irid ku socda ma beddelo magaca bartaas mana xaqiijiyo.

Jawaabta oggolaanshaha iyo URI dib-u-celinta

Dhaqanka amni ee ugu fiican ee hadda OAuth wuxuu mamnuucayaa gudbinta jawaabaha oggolaanshaha iyada oo loo marayo xiriir aan sireysan. Taas waxaa ku jira dib-u-celinta qaadda koodhka oggolaanshaha ama token-ada oo ku noqota macmiilka, ma aha oo kaliya codsiga bilowga.

Hagaha islaas ma ogola URI dib-u-celin HTTP, marka laga reebo kiiska loopback ee loo qoondeeyay macmiillada asalka ah. Magaca martigeliyaha gudaha ma abuuro ka-reebitaan cusub, magaca DNS ee kaliya gudaha VPN lagu xalliyo weli waa URL HTTP haddii qaabku sidaas yidhaahdo. Hubi qaabka ku jira URIGA la diiwaangeliyay, ma aha oo kaliya magaca martigeliyaha.

Diiwaangeli URIGA saxda ah ee dib-u-celinta HTTPS server-ka oggolaanshaha oo ku hay xaqiijinta shahaadada firfircoon macmiilka. Gaabinta horumarineed ee cabburisa shuruudda HTTPS waxay soo saartaa qulqul ka duwan sidii loo dhaqmi lahaa qaabeynta wax-soo-saarka ee ay tahay inuu matalo.

Barta token-ka iyo codsiyada token-ka sidaha

Codsiga token-ka waxa uu qaadaa aqoonsi ama koodh lagu beddeli karo gelitaan. Ku dirista qayb aan la ilaalin waxay soo bandhigtaa shay server-ka kheyraadku hadhow aamini doono, xitaa haddii shabakadda ku wareegsan ay gaar tahay. Proxy akhriyi kara codsiga waxa uu sidoo kale akhriyi karaa aqoonsiga uu qaadayo.

Codsiga kheyraadka ee token-ka sidaha, RFC 6750 waxay TLS u arkaa mid qasab ah in la hirgeliyo oo la isticmaalo qoraalkaas. Inaad sheegto in shabakadda yar ee xafiisku la aamini karo ma aha ka-reebitaanka guud ee borotokoolka ee ay u baahan tahay hirgelinta token-ka sidaha ee qoraal cad.

Isticmaal URL-yada ammaan ee la diiwaangeliyay ee barta ugu dambeysa labada qaybood. Haddii maktabad diiddo inay wacdo barta token-ka HTTP, diidmadaas waa qoraalka oo shaqaynaya, ma aha cilad qaabeyn ah oo la dhaafi karo. Ku qor URL-kaas qaabeynta macmiilka halkii aad ka soo saari lahayd waqtiga socodka.

Halka TLS ku dhammaado iyo waxa ay ka tagto

Haddii TLS ku dhammaado wejiga hore ee loo ogolaaday, magacaw wejigaas oo dib u eeg waddada laga marayo ilaa abka. Wejiga hore wuxuu noqonayaa masuul ka ah gudbinta, kalsoonida iyo sirta qaybta hadhay, nashqadaha la taageeray ee adeegguna waa inay qeexaan habayntaas.

VPN meel kale oo waddada ku taal ma xalliso masuuliyaddaas. Sidoo kale ma kuu sheegto haddii URL-ka abka ee browser-ku arko uu waafaqsan yahay shahaadada wejiga hore soo bandhigo.

Hirgelinta gudaha, qor barta dhammaadka iyo aqoonsiga ay soo bandhigto. Wejiga hore ee TLS ku dhammeeya shahaado magac kale leh wuxuu abuuraa digniin browser oo hawlwadeennadu inta badan cabburiyaan halkii ay hagaajin lahaayeen.

Ka-reebitaanka loopback asalka ah waa cidhiidhi

Ka-reebitaanka dib-u-celinta loopback waxa uu khuseeyaa dib-u-wicid ku timid aaladda isticmaalaha laftiisa, halkaas oo macmiilka iyo browser-ku wadaagaan aaladdaas. Habayntaas waxay ka tirsan tahay dib-u-wicid hal aalad ah, mana oggolaato in shabakadda yar ee xafiiska loo adeego server oggolaansho caadi ah ama API token qaada iyada oo loo marayo HTTP.

Ku hay ka-reebitaanka xaddidan nooca macmiilka iyo dib-u-wicidka uu qeexayo. Ku dabaqidda ab web, adeeg gudaha la wadaago ama URI dib-u-celin ku yaal martigeliye kale waxay beddeshaa hirgelinta, ma aha ka-reebitaanka.

Tijaabi qulqulka dhabta ah xad kasta oo la barbardhig nooca macmiilka. Dib-u-celin shaqaynaysa waxba kama sheegto haddii qayb kasta oo token qaaday ay isticmaashay ilaalinta loo baahan yahay, calamada VPN cagaarna waxba kama sheegto qaabka codsiga xiga.